Til [Firma Navn]

I forbindelse med browsing af jeres websted blev der fundet et muligt sikkerhedshul i jeres system. Det drejer sig om 'SQL Injection' via en URL addresse.

Addressen det drejer sig om er denne: [URL Addresse]

Hvis en ondsindet person forvrænger denne addresse kan vedkommende opnå adgang til jeres bagvedliggende database system. Hvor meget en ondsindet person kan gøre ved jeres system afhænger af hvilken databasebrugerrettighed i tilgår databasen med i jeres Web applikation.

Såfremt det er 'sa' kontoen har den ondsindet person næsten ubegrænset adgang til manipulering med jeres databaseserver via af de indbyggede shell kommandoer i T-SQL sproget, samt muligheden for brug af SQL Server Extended Stored Procedures.

Hvis tilgangen ikke foregår med 'sa' kontoen har den ondsindede kun adgang til det som den givne databasebruger har.

Det er ikke fra undertegnedes side blevet undersøgt hvor meget eller hvor lidt tilgang der er - det er kun konstateret at der er tilgang - ej heller er der gjort nogen forsøg på at skade jeres webserver/databaseserver.

For tekniske beskrivelser af problemet, samt løsningsforslag henvises der til:
 
http://www.nextgenss.com/papers/webappdis.doc
 
http://www.nextgenss.com/papers/advanced_sql_injection.pdf
og
 
http://msdn.microsoft.com/msdnmag/issues/02/09/SecurityTips/default.aspx

*************************
Undertegnede har ingen relationer eller kontakt med forfatterne til ovenstående links eller selve webstederne som linksene peger på.
*************************

Da dette mulige 'sikkerhedshul' på jeres websted kan være skadelig for jeres systemer opfordrer jeg på det kraftigste til at det bliver rettet - både for jeres egen skyld, men også for mulige intetanende brugere der kan blive kloner og uskyldige deltagere i et eventuel angreb mod jeres websted.

Med venlig hilsen
 
Søren Christensen